Apple (macOS/iOS) Seite 21

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einem Heap-based Buffer Overflow betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich (Öffnen einer präparierten Datei). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Acrobat Reader auf eine von Adobe bereitgestellte fehlerbereinigte Version aktualisieren.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einem Stack-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert das Öffnen einer präparierten Datei. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Adobe-Sicherheitsupdates einspielen.

Eine Use-after-free-Schwachstelle in der DigitalCredentials-Komponente von Google Chrome (vor Version 149.0.7827.155) erlaubt einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, möglicherweise einen Sandbox-Ausbruch über eine präparierte HTML-Seite. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Chrome 149.0.7827.155 oder neuer aktualisieren.

In Google Chrome vor Version 148.0.7778.216 ermöglicht ein Use-After-Free-Fehler im PerformanceManager einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, potenziell einen Sandbox-Escape über eine manipulierte HTML-Seite. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor Version 148.0.7778.216 ermöglicht ein Use-after-free-Fehler in der Skia-Grafikbibliothek einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, potenziell einen Sandbox-Escape über eine präparierte HTML-Seite. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

NVIDIA FLARE SDK enthält eine Schwachstelle in der FOBS-Komponente, durch die ein Angreifer durch das Senden einer manipulierten FOBS-codierten Nachricht eine Deserialisierung nicht vertrauenswürdiger Daten auslösen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In macOS Sequoia 15.1 wurde ein Berechtigungsfehler behoben, der einer App ermöglichen könnte, auf Kontakte des Nutzers zuzugreifen, ohne dessen Einwilligung einzuholen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Validierungsfehler wurde durch verbesserte Eingabebereinigung (Input Sanitization) behoben. Laut Quelle kann eine böswillig präparierte App die Schwachstelle auslösen. Das Problem ist in iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 sowie watchOS 26.6 korrigiert. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In macOS Sequoia, macOS Sonoma und macOS Tahoe besteht ein Berechtigungsproblem, durch das eine bösartige App bestehende Netzwerkbeschränkungen umgehen kann. Das Problem wurde durch zusätzliche Sandbox-Einschränkungen behoben. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 oder macOS Tahoe 26.6 einspielen.

Eine Berechtigungsschwachstelle in macOS wurde durch zusätzliche Einschränkungen behoben. Eine bösartige Anwendung könnte dadurch root-Rechte auf dem betroffenen System erlangen. Behoben ist der Fehler in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Auf die genannten Versionen aktualisieren.

Eine Use-after-free-Schwachstelle in der ServiceWorker-Komponente von Google Chrome (vor Version 149.0.7827.103) erlaubt einem Angreifer, der eine Nutzerin oder einen Nutzer zur Installation einer bösartigen Erweiterung verleitet, über eine präparierte Seite möglicherweise einen Sandbox-Escape. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome bzw. Chromium-basierte Browser auf die fehlerbereinigte Version aktualisieren.

In Adobe Substance3D Stager (Versionen 3.1.7 und früher) wurde eine Use-After-Free-Schwachstelle identifiziert, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Adobe Substance3D Stager (Versionen 3.1.7 und früher) besteht eine weitere Use-After-Free-Schwachstelle, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Integer-Overflow wurde durch verbesserte Eingabevalidierung behoben. Das Problem ist in iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8, macOS Sonoma 14.8.8, macOS Tahoe 26.6, tvOS 26.6 sowie visionOS 26.6 korrigiert. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Pufferüberlauf in Apple-Betriebssystemen wurde laut NVD durch verbesserte Bounds-Prüfung behoben. Die Lücke ist in iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6 und watchOS 26.6 geschlossen. Die Verbindung zu einem bösartigen NFS-Server kann dabei zu weiterreichenden Auswirkungen führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Verfügbares Update einspielen.

Adobe Dreamweaver Desktop in Version 21.7 und früher ist von einer Schwachstelle durch unzureichende Zugriffskontrolle (Improper Access Control) betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Adobe bereitgestellte fehlerbereinigte Version einspielen.

Adobe Acrobat Reader (Versionen 24.001.30365, 26.001.21651 und früher) ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Adobe-Updates einspielen.

Eine Race Condition in der Safe-Browsing-Komponente von Google Chrome unter macOS vor Version 149.0.7827.115 kann einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, einen Sandbox-Ausbruch über eine bösartige Datei ermöglichen. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Chrome 149.0.7827.115 oder neuer.

Adobe InDesign Desktop in den Versionen 21.3, 20.5.3 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Sicherheitsupdate gemäss Adobe-Advisory einspielen.

Adobe Illustrator-Versionen 29.8.6, 30.3 und früher sind von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Endpoint-DLP-Komponente des Prisma Access Agent von Palo Alto Networks erlauben mehrere Schwachstellen zur Autorisierungsumgehung einem lokalen Angreifer, Authentifizierungskontrollen zu umgehen und privilegierte Operationen auszuführen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, nicht betroffene Version aktualisieren.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Adobe InDesign Desktop in den Versionen 20.5.2, 21.2 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor Version 147.0.7727.55 ermöglicht eine Type-Confusion-Schwachstelle in der CSS-Verarbeitung einem Angreifer, der einen Benutzer zur Installation einer schädlichen Erweiterung verleitet, potenziell Heap-Korruption auszulösen. CVSS-Basiswert: 8.8 (Hoch).

Ein Path-Traversal-Fehler wurde durch verbesserte Eingabevalidierung behoben. Eine App könnte dadurch aus ihrer Sandbox ausbrechen. Der Fix ist enthalten in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Use-After-Free-Fehler in Apple iOS, iPadOS, macOS und weiteren Plattformen wurde durch verbesserte Speicherverwaltung behoben. Behoben in iOS 18.7.9, iPadOS 18.7.9, iOS 26.5, iPadOS 26.5, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.5. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Adobe Dreamweaver Desktop in Version 21.7 und früher ist von einer Schwachstelle durch Zugriff auf einen nicht initialisierten Zeiger betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Das Adobe-Sicherheitsupdate einspielen.

Adobe InDesign Desktop in den Versionen 20.5.2, 21.2 und früher weist eine Out-of-Bounds-Read-Schwachstelle beim Verarbeiten präparierter Dateien auf, die ein Lesen über das Ende einer zugewiesenen Speicherstruktur hinaus ermöglichen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle in iOS und iPadOS wurde durch verbesserte Überprüfungen behoben. Ein entfernter Angreifer kann dadurch einen unerwarteten App-Absturz auslösen. Das Problem ist in iOS 26.4 und iPadOS 26.4 behoben. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In iOS 26.3, iPadOS 26.3, macOS Sonoma 14.8.4, macOS Tahoe 26.3 und visionOS 26.3 wurde ein Pfadverarbeitungsfehler durch verbesserte Validierung behoben. Eine App konnte dadurch Root-Rechte erlangen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In .NET wird vor dem Dateizugriff ein Link (Symlink/Junction) nicht korrekt aufgelöst ('link following'), wodurch ein bereits authentifizierter Angreifer lokal Dateien manipulieren kann. Die Schwachstelle wird auch im Ubuntu-Advisory USN-8553-1 zu .NET-Schwachstellen aufgeführt. CVSS-Basiswert: 7.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Adobe Premiere Pro (Versionen 25.5 und früher) besteht eine Out-of-Bounds-Read-Schwachstelle beim Parsen manipulierter Dateien, die einen Lesezugriff über das Ende einer allozierten Speicherstruktur hinaus ermöglicht. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Adobe Substance 3D Stager (Version 3.1.6 und früher) besteht eine Out-of-Bounds-Read-Schwachstelle beim Parsen präparierter Dateien, die zu einem Lesen über das Ende einer allozierten Speicherstruktur hinaus führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Adobe Substance 3D Stager (Version 3.1.6 und früher) besteht eine Out-of-Bounds-Read-Schwachstelle beim Parsen präparierter Dateien, die zu einem Lesen über das Ende einer allozierten Speicherstruktur hinaus führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Adobe Bridge (Versionen 15.1.3, 16.0.1 und früher) besteht eine Integer-Overflow-Schwachstelle, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Use-after-free in der Komponente Extensions von Google Chrome vor Version 149.0.7827.155 ermöglichte einem Angreifer, der einen Benutzer zur Installation einer bösartigen Erweiterung verleitet, potenziell eine Heap-Korruption über eine präparierte Chrome-Erweiterung auszunutzen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 149.0.7827.155 oder neuer aktualisieren.

In Adobe Substance 3D Stager (Version 3.1.6 und früher) besteht eine Out-of-Bounds-Read-Schwachstelle beim Parsen präparierter Dateien, die zu einem Lesen über das Ende einer allozierten Speicherstruktur hinaus führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In macOS Sequoia 15.1 wurde ein Berechtigungsfehler behoben, der einer App ermöglichen könnte, Code ausserhalb der Sandbox oder mit erhöhten Rechten auszuführen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Ein Pufferüberlauf in Apple-Betriebssystemen wurde durch verbesserte Bounds-Prüfung behoben. Die Schwachstelle kann laut Advisory beim Verarbeiten einer speziell präparierten Datei ausgelöst werden. Betroffen und bereits gepatcht sind iOS 26.6, iPadOS 26.6, macOS Sequoia 15.7.8 und macOS Tahoe 26.6. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Auf die genannten, gepatchten Versionen aktualisieren.

In iOS, iPadOS, macOS Tahoe, tvOS, visionOS und watchOS wurde ein Speicherfehler durch verbesserte Bounds-Checks behoben. Das Problem ist behoben in iOS 26.6 und iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 sowie watchOS 26.6. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die genannten Versionen aktualisieren.

Im Rahmen der Recherche „Rooted in Trust“ wurden drei Privilege-Escalation- Schwachstellen in HP Easy Start für macOS offengelegt, die Vertrauensgrenzen um privilegierte Komponenten der Software betreffen. Die drei Lücken sind laut Quelle mit CVSS 8.5, 7.7 und 7.7 bewertet, ohne dass die Werte im Text den einzelnen CVE-IDs eindeutig zugeordnet sind. HP hat ein Advisory veröffentlicht und eine aktualisierte Version bereitgestellt. Gemeldet wurde die Lücke vom entdeckenden Forscher selbst. Dieser Eintrag stammt aus einer Community-Meldung (manuell erfasst).

In macOS wurde ein Autorisierungsproblem durch verbessertes State-Management behoben, das im Zusammenhang mit bösartigen Apps steht. Das Problem ist behoben in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die genannten Versionen aktualisieren.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einer Schwachstelle durch ein unkontrolliertes Suchpfad-Element betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Adobe-Sicherheitsupdates einspielen.

Waves Central für macOS in den Versionen 13.0.9 bis 16.5.5 enthält eine Schwachstelle zur lokalen Rechteausweitung. Eine im Produkt enthaltene, als vertrauenswürdig eingestufte XPC-Client-Komponente ist mit Hardened-Runtime-Berechtigungen signiert, was ausgenutzt werden kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In Google Chrome vor Version 148.0.7778.216 ermöglicht eine Type-Confusion-Schwachstelle in V8 einem Angreifer, der einen Benutzer zur Installation einer bösartigen Erweiterung veranlasst, beliebigen Code innerhalb der Sandbox auszuführen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 148.0.7778.216 oder neuer.

Ein Out-of-Bounds-Read in Apple macOS wurde laut NVD durch verbesserte Bounds-Prüfung behoben. Die Lücke ist in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6 geschlossen. Das Parsen einer bösartig präparierten Datei kann dabei zu unerwartetem Verhalten führen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Verfügbares Update einspielen.

Ein Fehler in der Pfadverarbeitung wurde durch verbesserte Validierung behoben. Betroffen sind iOS und iPadOS vor Version 26.6 sowie macOS Sequoia vor 15.7.8, macOS Sonoma vor 14.8.8, macOS Tahoe vor 26.6 und weitere Apple-Betriebssysteme (tvOS, visionOS). CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf die genannten aktualisierten Versionen patchen.

In Google Chrome vor Version 149.0.7827.197 ermöglicht eine Use-after-free-Schwachstelle in der Web-Authentication-Komponente einem Angreifer, der einen Benutzer zur Installation einer bösartigen Erweiterung veranlasst, potenziell die Ausnutzung einer Heap-Korruption. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.197 oder neuer.

Eine unzureichende Absicherung eines alternativen Pfades im Palo Alto Networks Prisma Browser unter macOS schränkt den Zugriff auf eine interne Automations-Bridge nicht korrekt ein. Dadurch kann ein lokal authentifizierter Angreifer diese Einschränkung umgehen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.